지난 금요일, 거대 인공지능 OpenAI는 내부 도구가 악의적으로 변조된 합법적인 오픈 소스 소프트웨어 라이브러리에 대한 업데이트를 다운로드했다고 말하면서 보안 사고를 공개했습니다. 구글에 따르면 이번 대규모 해킹 캠페인은 북한 해커 집단과 밀접한 관련이 있는 것으로 알려졌다.
OpenAI는 금요일 밤 늦게 게시된 블로그 게시물에서 상황을 자세히 설명했습니다. 3월 31일, 해커는 개발자의 계정을 하이재킹하고 널리 사용되는 JavaScript HTTP 요청 라이브러리인 Axios에 대해 손상된 업데이트 2개를 출시했습니다(참고: 이 라이브러리는 뉴스 매체인 Axios와 관련이 없습니다). 불행하게도 악성 업데이트는 이상이 발견되기 전에 MacOS 애플리케이션 인증서에 서명하는 데 사용되는 OpenAI의 GitHub 워크플로에 의해 다운로드되었습니다.
회사는 ChatGPT, Atlas, Codex를 포함한 MacOS 애플리케이션 사용자가 이번 사건의 영향을 받을 수 있다고 밝혔습니다. 이 공격의 잠재적인 위협은 해커가 시스템에 액세스하여 관련 인증서를 훔치고 나면 합법적인 백엔드 인증서를 사용하여 가짜 OpenAI 애플리케이션을 만들 수 있다는 것입니다. 이러한 가짜 앱은 기기와 Apple App Store가 공식 앱인 것처럼 속일 만큼 매우 기만적입니다.
높은 잠재적 위험에도 불구하고 OpenAI는 해커가 훔친 인증서를 사용해 가짜 애플리케이션을 게시한 실제 사례는 발견되지 않았으며 사용자의 개인 데이터, 회사의 지적 재산 또는 내부 핵심 시스템이 손상되었다는 증거도 없다는 점을 분명히 했습니다. 또한 현재 iOS, Android, Windows 및 기타 플랫폼의 애플리케이션에 의해 영향을 받는 징후는 없습니다.
업계 분석가들은 이번 사건이 새로운 보안 현황을 보여준다고 생각합니다. 오늘날의 인공 지능 기업은 AI 기술에 대한 특정 위협에 직면할 뿐만 아니라 전통적인 소프트웨어 공급망 공격의 주요 사냥 표적이 되었습니다.
보안 및 주의상의 이유로 OpenAI는 5월 8일에 이전 버전의 MacOS 애플리케이션 지원을 공식적으로 중단할 것이라고 발표했습니다. OpenAI는 사용자에게 30일 업데이트 기간을 제공합니다. 만료일 내에 업데이트하지 않으면 해당 인증서가 취소되므로 이전 버전의 애플리케이션에 대한 신규 다운로드 및 최초 실행이 차단될 수 있습니다. 현재 이 보안 사고는 여전히 후속 조치 및 개발 중입니다.